「提示注入只影响聊天机器人」错在哪？

提示注入这个词听起来像是聊天机器人的专属问题，多数人因此觉得跟自己无关。错在哪？只要智能体会执行动作、会读外部内容，注入就可能找上门：邮件正文里藏一句指令，网页摘要里夹一段话术，都能让干活的家伙跑偏。

错在哪：会执行动作的都算数

聊天场景里注入顶多让回答跑题，损失有限。可如今的智能体会读邮件、查网页、调工具、发消息，外部内容混进来的口子多了，注入的影响跟着升级：被诱导发了不该发的消息、动了不该动的数据、带出了本该保密的上下文。影响范围跟着能力走，能力越强，越要防。还有一条升级路径值得警惕：注入内容如果进了智能体的记录或记忆层，影响会跨任务延续，第一次被带偏的痕迹污染后续判断，清理起来比单次纠错麻烦得多。防注入要趁早，别等污染扩散。

注入怎么混进正常流程

常见路径有三条。用户输入里直接夹带：正常问题后面粘一句越权指令。间接内容携带：让智能体读的网页、文档、邮件正文里预先埋了指令，等着被读进去。工具返回夹带：接口返回的数据里混入看似系统提示的文本。共同点是披着正常内容的外衣，靠模型分不清指令和数据的弱点起作用。识别注入可以看几个特征：外部内容里出现祈使句、冒号后的指令式短语、与你我身份相关的表述，都是高发形态。特征识别挡不住所有变体，但能拦下不动脑的低级攻击。

正确说法：把外部内容当不可信输入

防线第一条是态度：所有外部来的内容，一律按不可信处理，指令只从系统提示和可信配置里来。具体做法是把外部内容用明确的标记包裹，提示词里写死标记内的内容只作参考不作指令。文心一言、通义千问这类模型对指令和内容的区分能力在提升，但设计上不能赌模型的分辨力。标记隔离的细节也有讲究：标记符号要选内容里不可能出现的，包裹范围覆盖完整内容，提示词里同时写正向规则和越界后果，两头一起约束效果更稳。

第二条防线在权限层：就算被带偏，能做的动作也有限，按最小可用给权限，敏感动作加人工确认，见 「给了权限就能随便用」错在哪？。第三条在留痕与算账：输入原文留痕方便事后查案，「执行日志没人看也没关系」错在哪？ 讲了留痕怎么设计；为省配置功夫裸奔上线，出事代价见 「自动化就等于省钱」错在哪？一个例子讲透。

三道常用防线各管一段

输入层：对外部内容做标记隔离，提示词里声明标记内不是指令。权限层：动作清单化，越清单的动作一律拒绝。监控层：异常动作触发告警，比如智能体突然要发批量消息。三层叠起来，单层失守还有两层兜着，防注入靠的是纵深而不是单点。防线要定期演练：往测试环境塞几条带指令的样例内容，看智能体是否被带偏，演练结果记入安全台账。防线没有实战检验，纸面强度不算数。

三层各管一段，配着自查问句一起看更清楚：

防注入自查单

• 外部内容有隔离标记吗
• 敏感动作需要人工确认吗
• 异常动作会触发告警吗

三问全过，才敢让它接触正经业务。

一句话收住：注入针对的不是聊天窗口，而是所有把外部内容当输入的智能体，分清这一点，防护才会上心。

关于提示注入的三个常问问题

• 注入指令混在用户自己的话里怎么办？：用户消息同样过动作清单，越权的部分无论来自谁都拒绝。
• 读网页类任务风险是不是最高？：相对高，因为内容完全外部可控，标记隔离加动作限权要同时上。
• 小团队没安全人力怎么起步？：先做权限收窄和敏感动作确认这两件，成本最低，挡住大半风险。